本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
Amazon Identity and Access Management 在 Amazon Cloud Map
要对 Amazon Cloud Map 资源执行任何操作,例如注册域名或更新记录, Amazon Identity and Access Management (IAM) 要求您验证自己是经批准的 Amazon 用户。如果您使用的是 Amazon Cloud Map 控制台,则需要通过提供 Amazon 用户名和密码来验证自己的身份。如果您 Amazon Cloud Map 以编程方式访问,则您的应用程序会使用访问密钥或签署请求来为您验证身份。
在您对身份进行身份验证后,IAM 会 Amazon 通过验证您是否有权执行操作和访问资源来控制您的访问权限。如果您是账户管理员,则可使用 IAM 控制其他用户对与您的账户关联的资源的访问。
本章介绍如何使用 IAM 以及 Amazon Cloud Map 如何帮助保护您的资源。
主题
身份验证
您可以通过以下 Amazon 任一方式进行访问:
-
Amazon Web Services 账户根用户 – 当您首次创建 Amazon 账户时,最初使用的是一个对账户中所有 Amazon 服务和资源有完全访问权限的单点登录身份。此身份称为 Amazon Web Services 账户根用户 账户 ,可使用您创建账户时所用的电子邮件地址和密码登录来获得此身份。创建时 Amazon Web Services 账户,首先要有一个登录身份,该身份可以完全访问账户中的所有资源 Amazon Web Services 和资源。此身份被称为 Amazon Web Services 账户 root 用户,使用您创建账户时使用的电子邮件地址和密码登录即可访问该身份。强烈建议您不要使用根用户执行日常任务。保护好根用户凭证,并使用这些凭证来执行仅根用户可以执行的任务。有关要求您以根用户身份登录的任务的完整列表,请参阅《IAM 用户指南》中的需要根用户凭证的任务。
-
IAM 用户 — I AM 用户是您的 Amazon 账户中具有特定自定义权限(例如,在中创建 HTTP 命名空间的权限 Amazon Cloud Map)的身份。您可以使用 IAM 登录凭证登录安全的 Amazon 网页,如 Amazon Web Services Management Console
、Amazon 论坛 或 Amazon Web Services Support 中心 等。 除了登录凭证之外,还可以为每个用户生成访问密钥。当你以编程方式访问 Amazon 服务时,你可以使用这些密钥,既可以是通过几个软件开发工具包中的一个
,也可以使用。Amazon Command Line Interface SDK 和 CLI 工具使用访问密钥对您的请求进行加密签名。如果您不使用 Amazon 工具,则必须自己签署请求。 Amazon Cloud Map 支持签名版本 4,这是一种用于对入站 API 请求进行身份验证的协议。有关验证请求的更多信息,请参阅《Amazon Web Services 一般参考》 中的签名版本 4 签名流程。 -
IAM 角色 – IAM 角色是可在账户中创建的一种具有特定权限的 IAM 身份。IAM 角色与 IAM 用户类似,因为它是一个具有权限策略的 Amazon 身份,该策略决定了该身份可以做什么和不能做什么 Amazon。但是,角色旨在让需要它的任何人代入,而不是唯一地与某个人员关联。此外,角色没有关联的标准长期凭证(如密码或访问密钥)。相反,当您代入角色时,它会为您提供角色会话的临时安全凭证。具有临时凭证的 IAM 角色在以下情况下很有用:
-
联合用户访问权限 — 您可以使用企业用户目录或 Web 身份提供商中的 Amazon Directory Service现有用户身份,而不是创建 IAM 用户。这些用户被称为联合用户。 Amazon 当通过身份提供者请求访问权限时,将角色分配给联合用户。有关联合用户的更多信息,请参阅《IAM 用户指南》中的联合用户和角色。
-
Amazon 服务访问权限 — 您可以使用账户中的 IAM 角色向 Amazon 服务授予访问您账户资源的权限。例如,您可以创建一个角色以允许 Amazon Redshift 代表您访问 Amazon S3 存储桶,然后将该存储桶中的数据加载到 Amazon Redshift 集群中。有关更多信息,请参阅 IAM 用户指南中的创建角色以向 Amazon 服务委派权限。
-
在 A@@ mazon EC2 上运行的应用程序 — 您可以使用 IAM 角色管理在 Amazon EC2 实例上运行并发出 Amazon API 请求的应用程序的临时证书。这优先于在 Amazon EC2 实例中存储访问密钥。要向 Amazon EC2 实例分配 Amazon 角色并使其可供其所有应用程序使用,您需要创建附加到该实例的实例配置文件。实例配置文件包含角色,并使 Amazon EC2 实例上运行的程序能够获得临时凭证。有关更多信息,请参阅 IAM 用户指南中的 使用 IAM 角色为 Amazon EC2 实例上运行的应用程序授予权限。
-
访问控制
要创建、更新、删除或列出 Amazon Cloud Map 资源,您需要执行操作的权限,并且需要访问相应资源的权限。此外,要以编程方式执行该操作,您需要有效的访问密钥。
以下各节介绍如何管理的权限 Amazon Cloud Map。我们建议您先阅读概述。